应用安全管理规范

1、总则

1.1、目的

为规范应XXXXX单位应用系统的使用过程和结果安全，特制定本制度。

1.2、范围

本制度适用于XXXXX单位的应用系统安全管理。

1.3、职责

所有涉及到XXXXX单位应用系统使用的内部人员都要遵循本制度。

1.4、术语与定义

应用系统是业务管理和数据输入输出平台。

应用安全即保障应用程序使用过程和结果安全，就是针对应用程序或工具在使用过程中可能出现计算、传输数据的泄露和失窃，通过其他安全工具或策略来消除隐患。

2、应用管理

2.1、身份鉴别

登录应用系统需要通过用户名和密码鉴别认证；应对应用系统中的用户进行标识，用户标识应遵守唯一性原则，并将用户标识与审计相关联；应对用户标识信息进行管理、维护，确保其不被非授权地访问、修改或删除；应在登录过程中确保鉴别信息是保密的，不易伪造的。

2.2、访问控制

1）应对应用系统的访问设定访问控制规则，减少非授权访问。

2）应用系统应按照最小权限原则对不同用户进行授权，保证各用户权限最小化。

3）应用系统的安装目录和文件的访问权限应进行最小化设置，防止未授权用户访问相关资源。

4）应用系统应启用登录失败处理功能，采取结束会话、限制非法登录次数和自动退出等措施。

2.3、日志审计

1）应为应用系统建立独立的日志审计系统，定义与应用安全相关的日志审计事件记录。

2）能够生成、维护及保护审计过程，使其免遭修改、非法访问及破坏。保护审计数据，严格限制未经授权的用户访问。

2.4、安全传输

1）对应用系统进行管理时，应采取一定的安全机制，防止鉴别信息和管理数据在网络传输过程中被窃听。 

2）应用系统与第三方系统进行数据交互时，应采用加密措施保护数据信息传输安全。

2.5、资源利用

1）应对应用系统的最大并发会话连接数进行限制，防止受到拒绝服务攻击。

2）应对应用系统内单个账户的多重并发会话进行限制，并对会话超时进行重鉴别控制。

3）应对应用系统资源进行监视，并对系统的服务水平降低到预先规定的最小值进行检测和报警。

2.6、安全管理

1）设置应用系统审计管理员、系统管理员角色、系统安全管理员角色，并且实现不同管理员的权限分离，仅授予管理员用户所需的最小权限，同时系统审计管理员角色与系统管理员角色、系统安全管理员角色不能是同一人担任。

2）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求。

3）应用系统提供自动保护功能（如守护进程重启故障中断的服务进程等），确保能够自动保护当前所有状态，保证系统能够进行恢复。）

4）应用系统应定期进行系统版本更新和补丁更新。

3、附则

本管理制度由XXXXX单位负责解释，自发布之日起实施。